WIXLIB

Normas de Seguridad para Afrontar el Virus “I Love You”(Herramientas /Opcio-nes) y antes chequear con un antivirus los archi-vos recibidosantes de ejecutarlos.ANTIVIRUS INFORMATICOSEl antivirus es cualquier metodología, programa o sistema para prevenir la activaciónde los virus, su propagación y contagio dentro de un sistema y su inmediata eliminacióny la reconstrucción de archivos o de áreas afectadas por los virus informáticos.Los antivirus permiten la detección y eliminación de virus. Mediante una cadena delantivirus que busca, encuentra y elimina los distintos virus informáticos.El software antivirus contrarresta de varias maneras los efectos de los virus informáticosal detectarlos. La mayoría de las soluciones se basan en tres componentes para ladetección : exploración de acceso, exploración requerida, y suma de comprobación.La exploración de acceso : Inicia automáticamente una exploración de virus, cuando seaccede a un archivo, es decir al introducir un disco, copiar archivos, ejecutar unprograma, etc.La exploración requerida : El usuario inicia la exploración de virus. Las exploraciones sepueden ejecutar inmediatamente, en un directorio o volumen determinado.La suma de comprobación o comprobación de integridad : Método por el cual unproducto antivirus determina si se ha modificado un archivo. Como el código vírico seune físicamente a otro archivo, se puede determinar tal modificación guardando lainformación del archivo antes de la infección.12Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”La suma de comprobación es generalmente exacta y no necesita actualizaciones. Sinembargo la suma de comprobación no proporciona ni el nombre, ni el tipo de virus.Los programas antivirus se componen fundamentalmente de dos partes : un programaque rastrea (SCAN) si en los dispositivos de almacenamiento se encuentra alojadoalgún virus y otro programa que desinfecta (CLEAN) a la computadora del virusdetectado.Instituto Nacional de Estadística e Informática13

Normas de Seguridad para Afrontar el Virus “I Love You”II. Virus “I Love You”¿COMO SE PRESENTA?Este virus se presenta bajo la modalidad de gusano. Está escrito en Visual Basic Script,y está infectando a miles de computadores a través del correo electrónico. Si recibe unmensaje con el asunto "ILOVEYOU" y el archivo adjunto LOVE-LETTER-FORYOU.TXT.vbs, le aconsejamos borrarlo inmediatamente.Aunque la extensión VBS (Visual Basic Script) puede permanecer oculta en lasconfiguraciones por defecto de Windows, lo cual puede hacer pensar que se trate de uninocente archivo de texto.Cuando se abre el archivo infectado, el virus gusano procede a infectar el sistema yexpandirse rápidamente, enviándose a todos aquellos contactos que tiene la agenda de14Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”direcciones, incluidas las agendas globales corporativas. Es importante no ejecutarningún archivo adjunto que venga con dicho mensaje.Un análisis preliminar permite identificar, a partir de las primeras líneas, el código delvirus gusano que procede de Manila, Filipinas, y el autor se apoda "spyder". Sinembargo, esta información está siendo investigada:rem barok -loveletter(vbe) i hate go to school rem by: spyder / ispyder@mail.com / @GRAMMERSoft Group /Manila,Philippines¿COMO SE INSTALA EL VIRUS?El virus VBS/LoveLetter.A llega en un mensaje de e-mail similar a:Asunto: ILOVEYOUCuerpo del mensaje: kindly check the attached LOVELETTER coming from me.Attachment: LOVE-LETTER-FOR-YOU.TXT.vbsSi el usuario abre el archivo adjunto (LOVE-LETTER-FOR-YOU.TXT.vbs), el gusano secopia a los siguientes directorios:\windows\system - MSKernel32.vbs\windows - Win32DLL.vbs\windows\system - LOVE-LETTER-FOR-YOU.TXT.vbsDespués de esto modifica el registro de Windows para ejecutarse automáticamente encada inicio del sistema (archivos MSKernel32.vbs y Win32DLL.vbs):Registro:HKEY LOCAL Run"MSKernel32" "{\windows}\systemMSKernel32.vbs"HKEY LOCAL RunServices"Win32DLL" "{\windows}\Win32DLL.vbs"Instituto Nacional de Estadística e Informática15

Normas de Seguridad para Afrontar el Virus “I Love You”MAILS EN MASA:El siguiente paso del virus gusano es enviar por e-mail a todos los usuarios de la libretade direcciones del OutLook. El virus gusano genera múltiples mensajes del tipo:Asunto: ILOVEYOUCuerpo del mensaje: kindly check the attachedLOVELETTER coming from me.Attachment: LOVE-LETTER-FOR-YOU.TXT.vbs16Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”¿CUÁLES SON LOS SINTOMAS DEL VIRUS?1.2.La recepción de un mensaje de correo electrónico que presenta las siguientescaracterísticas:-En el Asunto puede leerse alguno deILOVEYOU Susitikim shi vakara kavos puodukui. fwd: Joke Mothers Day Order Confirmation Dangerous Virus Warning Virus ALERT!!! Important ! Read carefully !!lossiguientes-La existencia de un archivo adjunto cuyo nombre puede ser: LOVE-LETTER-FOR-YOU.TXT.vbs VERY FUNNY.VBS. MOTHERSDAY.vbs VIRUS WARNING.JPG.VBS PROTECT.VBS IMPORTANT.TXT.vbstextos:Si al recibir el mensaje, el usuario lo abre, el equipo resultará infectado. Lossíntomas de la infección son, entre otros:Cambios en los archivos con extensión :vbs, vbe, js, jse, css, wsh, sct, hta, jpg,jpeg, wav, txt, gif, doc, htm, html, xls, com, bat, mp3 y mp2 .3.La aparición, en el registro de configuración de Windows, de las siguientesentradas: HKEY LOCAL un\MSKerne32HKEY LOCAL un\Services\Win32DLLEn la variante "I" los archivos MSKernel32.vbs y Win32DLL.vbs, se llamanESKernel32.vbs y ES32DLL.vbs, respectivamente.Instituto Nacional de Estadística e Informática17

Normas de Seguridad para Afrontar el Virus “I Love You”Forma de Ingreso y los estragosdel Virus ”I Love You”Un correo inhabitual y redactado en inglésLlega al buzón electrónico de la computadoraTema: “ILOMensaje VEYOU”: “abra el archivoencuentradaArchivo mi carta de amo junto donde a apertura delarchivo adjunto“LOVE-LETTERFOR-YOU.TXT.vbs”Activa el virus3Penetrar en elsistema deexploraciónY destrozar losarchivosEl viruspuede.-Apoderarse delas contraseñasde acceso ainternet- Multiplicarse18-Enviar por símismo mensajestrampa a losdestinatariosque figuran enla agenda dedirecciones- Introducirse encada ordenadorde una red- Corromper losarchivos alinsertar el virusEntre los archivos amenazados, aquellos quetienen como A.VBS.WSHInstituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”¿QUE DAÑOS CAUSA EL VIRUS?El virus sobrescribe con su código maligno los archivos con extensiones: .VBS y .VBE.Elimina los archivos con extensiones: .JS, .JSE, .CSS, .WSH, .SCT y .HTA,y crea otros archivos con el mismo nombre y extensión .VBS en el que introduce sucódigo maligno.También localiza los archivos con extensión: .JPG, .JPEG, .MP3 y .MP2, eliminandolos del disco duro,y crea otros archivos, donde el nuevo nombre está formado por el nombre y laextensión anterior más la extensión .VBS.A continuación presentamos los tipos de archivos que son afectados por el virus “I TA.JPG.JPGE.MP3.MP2ARCHIVOSVisual Basic ScriptUtilitario de gráficos del Script – Gráficos 3DJava ScriptJava ScriptHojas de Estilo (Cascade Style Sheet)Windows Scripting HostComponente (Windows Script Componet)Componente (Windows Script Componet)GráficoGráficoMúsicaMúsicaInstituto Nacional de Estadística e Informática19

Normas de Seguridad para Afrontar el Virus “I Love You”VARIANTES DEL VIRUS “I LOVE YOU”Se han detectado múltiples variantes del virus “I Love You”. Entre ellas se tiene: VBS/LoveLetter.B, alias “Lithuania”.Diferencias:Asunto : "Susitikim shi vakara kavos puodukui.".Cuerpo del mensaje: kindly check the attached LOVELETTER coming from me. VBS/LoveLetter.C, alias "Very Funny".Diferencias:Asunto: "fwd: joke"Archivo adjunto: VERY FUNNY.VBS.Cuando se envía a través de un canal de IRC, el archivo recibe el nombre VERYFUNNY.HTM. VBS/LoveLetter.D, alias “BugFix”Diferencias:Asunto: ILOVEYOUArchivo adjunto: LOVE-LETTER-FOR-YOU.TXT.vbsCuerpo del mensaje: kindly check the attached LOVELETTER coming from me.Nota: en el registro de Windows: WIN- -BUGSFIX.exe en vez deWIN-BUGSFIX.exe VBS.LoveLetter.E (alias "Mother's Day")Diferencias:Asunto: Mothers Day Order ConfirmationFichero adjunto: mothersday.vbsCuerpo del mensaje: We have proceeded to charge your credit card for theamount of 326.92 for the mothers day diamond special. We have attached adetailed invoice to this email. Please print out the attachment and keep it in a rsday@subdimension.com20Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”Nota: mothersday.HTM enviado por IRC. Comentario en el código: remhackers.com, & start up page to hackes.com, l0pht.com, or 2600.com VBS/LoveLetter.F, alias “Virus Warnig”Diferencias:Asunto: "Dangerous Virus Warning"Archivo adjunto: VIRUS WARNING.JPG.VBS.Cuando se envía a través de un canal de IRC, el archivo recibe el nombre de: URGENT VIRUS WARNING.HTM.Cuerpo: "There ia a dangerous virus circulating. Please click attached picture toview it and learn to avoid it"1.Las direcciones web a las que intenta conectarse son: HKCU\Software\Microsoft\Internet Explorer\Main\Start Page, con el valor http://www.skycable.tucows.com/files2/setup24.exe HKCU\Software\Microsoft\Internet Explorer\Main\Start Page, con el .exe HKCU\Software\Microsoft\Internet Explorer\Main\Start Page, con el .exe HKCU\Software\Microsoft\Internet Explorer\Main\Start Page, con el .exeEn ninguna de dichas direcciones se han encontrado instrucciones para descargaralgún archivo infectado.2. También actúa sobre los archivos con extensiones: WAV, TXT, GIF, DOC,HTM, HTML y XLS.VBS/LoveLetter.G, alias “Virus Alert”Diferencias:1.El mensaje de correo electrónico en el que se envía tiene las siguientescaracterísticas, en inglés:De: support@symantec.comAsunto: "Virus ALERT!!!"Instituto Nacional de Estadística e Informática21

Normas de Seguridad para Afrontar el Virus “I Love You”Cuerpo: "Symantec's AntiVirus Research Center began receiving reportsregarding VBS.LoveLetter.A virus early morning on May 4, 2000 GMT. Thisworm appears to originate from the Asia Pacific region.Distribution of the virus is widespread and hundreds of thousands ofmachines are reported infected.The VBS.LoveLetter.A is an Internet worm that uses Microsoft Outlook to email itself as an attachment.The subject line of the e-mail reads ILOVEYOU, with the attachment titledLOVE-LETTER-FOR-YOU.TXT.VBS. Once the attachment is opened, the virusreplicates and sends an e-mail to all e-mail addresses listed in the addressbook. The virus also spreads itself via Internet relay chat and infects files onlocal and remote drives including files with extensions vbs, vbe, js, sje, css,wsh, sct, hta, jpg, jpeg, mp3, mp2. Users should exercise caution whenopening e-mails with this subject line, even if the e-mail is from someonethey know, as that is how the virus is spread.Symantec Corp. today announced availability of the virus definition to detect,repair and protect users against the VBS.LoveLetter.A virus. This definition isavailable now via Symantec's LiveUpdate and can also be downloaded fromthe following web oveletterhttp://www.digitalriver.com/symantecAlso as a quick solution Symantec Corp. offers Visual Basic Script to protectyour PC against this worm. (See attached.) Note! When executed, this scriptwill protect Your PC from being INFECTED by BS.LoveLetter.A virus. To curealready infected PC's download Norton Antivirus Updates mentioned above.Symantec Corporation - a world leader in internet security technology."2.22El archivo incluido en el mensaje de correo electrónico en el que se envía sedenomina: PROTECT.VBS.PROTECT.VBSCuando se envía a través de un canal de mIRC, el archivo recibe elnombre de: PROTECT.HTM.Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”3.Las direcciones web a las que intenta conectarse son: HKCU\Software\Microsoft\Internet Explorer\Main\Start Page, con el valorhttp://3doc.dailypussy.com/gallery/bunny.html HKLM\Software\Microsoft\Internet Explorer\Main\Start Page, con el valorhttp://3doc.dailypussy.com/gallery/bunny.html HKLM\Software\Microsoft\Internet Explorer\Main\Search Page, con elvalorhttp://astalavista.box.sk HKLM\Software\Microsoft\Internet Explorer\Main\Search Page, con elvalorhttp://astalavista.box.sk HKLM\Software\Microsoft\Internet Explorer\Main\Defaul Page URL, conel valor http://www.persiankitty.com lPage,asignándole el valor PROTECT.HTM, que es el archivo que ha copiadoen el directorio SYSTEM de Windows.En ninguna de dichas direcciones se han encontrado instrucciones paradescargar algún archivo infectado.4. También actúa sobre los archivos con extensiones: COM y BATVBS/LoveLetter.H, alias “No Comments”Diferencia:Asunto: ILOVEYOUArchivo adjunto: LOVE-LETTER-FOR-YOU.TXT.vbsCuerpo del mensaje: kindly check the attached LOVELETTER coming from me.Nota: las líneas de comentario han sido eliminadas. VBS.LoveLetter.I, alias "Important! Read carefully!!"Diferencia:Asunto: Important! Read carefully!!Archivo adjunto: Important.TXT.vbsCuerpo del mensaje: Check the attached IMPORTANT coming from me!Notas: línea de comentario: by: BrainStorm / @ElectronicSouls. También copialos archivos ESKernel32.vbs y ES32DLL.vbs, y añade comentarios al script.ini demIRC referentes a BrainStorm y ElectronicSouls, así como envía el archivoIMPORTANT.HTM a través de DCC.Instituto Nacional de Estadística e Informática23

Normas de Seguridad para Afrontar el Virus “I Love You”III. Prevención¿QUE HACER ANTES DE SER INFECTADO?Para hacer frente al virus “I LOVE YOU” y a todo tipo de códigos malignos es esencial: Instalar un antivirus eficaz en su PC o red.Actualizar dicho antivirus constantemente, ya que los virus pueden surgir de lanada y propagarse de manera exponencial en cuestión de horas.No ejecutar ningún archivo adjunto a un mensaje de correo que provenga de unafuente desconocida y aquellos que, aun proviniendo de fuentes conocidas, nohayan sido solicitadosInfórmese puntualmente sobre todos las novedades en la seguridad informáticaActualizaciónpermanente delsoftware antivirus24Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”IV. Eliminación¿QUE HACER SI ESTA INFECTADO?En caso no cuente con un antivirus actualizado se recomienda llevar adelante elsiguiente procedimiento para eliminar el virus:El virus gusano crea las siguientes claves en el registro (regedit), que deberán serborradas para evitar que el virus se ejecute de forma automática al iniciar el sistema:HKEY LOCAL Run\MSKernel32HKEY LOCAL RunServices\Win32DLLTambién será necesario borrar los archivos: WIN32DLL.VBSubicado en el directorio de Windows (por defecto \WINDOWS) MSKERNEL32.VBSLOVE-LETTER-FOR-YOU.VBSubicados en el directorio de sistema (por defecto\WINDOWS\SYSTEM)Si el virus realizó lo anterior es necesario revisar si se activó la segunda parte del códigomaligno del virus gusano, que es modificar la página de inicio de Internet Explorer conuna de las 4 direcciones, que elige según un número aleatorio bajo el dominiohttp://www.skyinet.net. Estas direcciones apuntan al archivo WIN-BUGSFIX.EXE, y unavez descargado modifica el registro de Windows para que este programa también seaejecutado cuando se inicia el sistema modificando la configuración de Internet Explorer,presentando en esta ocasión una página en blanco como inicio.Si el virus gusano ha conseguido realizar el paso anterior también se deben borrar losarchivos el archivos: WIN-BUGSFIX.EXE, ubicado en el directorio de descarga de Internet Explorer y laentrada del registro:HKEY LOCAL Run\WIN-BUGSFIXInstituto Nacional de Estadística e Informática25

Normas de Seguridad para Afrontar el Virus “I Love You”El virus gusano también detecta la presencia del programa mIRC, buscando algunos delos siguientes archivos: mirc32.exe,mlink32.exe,/mirc.ini yscript.ini.En caso de que se encuentren en el sistema el virus gusano escribe en el mismodirectorio su propio archivo SCRIPT.INI donde podemos encontrar, entre otras líneas,las siguientes instrucciones:n0 on 1:JOIN:#:{n1 /if ( nick me ) { halt }n2 /.dcc send nick "&dirsystem&"\LOVE-LETTER-FOR-YOU.HTMn3 }26Instituto Nacional de Estadística e Informática

Normas de Seguridad para Afrontar el Virus “I Love You”V. RecomendacionesPOLITICAS DE SEGURIDAD ANTE LOS VIRUSComo parte de la política de seguridad de información institucional, se debe poner enmarcha una política de seguridad ante los virus.La política de seguridad se comprueba realizando el seguimiento de las medidasdiseñadas, mediante la implementación de auditorías permanentes, que permitenasegurar que la política se adapta a la organización.El desarrollo de redes globales a las que se accede desde cualquier parte del mundocon un coste bajo y desde cualquier hogar como es INTERNET, aumentaestadísticamente la probabilidad de que alguien no autorizado i

Los virus informáticos, atacan al usuario de una PC, destruyendo o afectando la información que no esté protegida. Actualmente los virus informáticos tienen diversos efectos. La mayoría de los virus suelen ser programas residentes en memoria, se van copiando dentro de los archivos del computador. VIRUS TIPO PROGRAMAS MALIGNOS